CVE-2026-115216

Kritik

Açıklama

Eclipse ioFog Operator'ın 3.9.2 öncesindeki 3.8.0 versiyonlarında, operatör Controller API ile iletişim kurduğunda ve harici bir OIDC yayıncısına giriş yaptığında TLS sertifika doğrulaması devre dışıdır. Yol üzerindeki (on-path) bir saldırgan herhangi bir sertifika sunabilir; OAuth istemci sırrını (harici mod) veya Controller önyükleme yönetici şifresini (Controller HTTPS etkinleştirilmiş gömülü mod) ele geçirebilir ve operatörün daha sonraki Controller API çağrıları için sakladığı erişim belirtecini sağlayabilir. v3.8 sürümünde Keycloak kaldırılmıştır. Açığa çıkan kimlik bilgisi bir Keycloak realm-admin sırrı değildir.

ÖnemKritik

CVSS9.1

İstismar olasılığı—

ÜrünEclipse ioFog

Yayın27 Eki 2026

İlk görülme27 Eki 2026

Zayıflık türüCWE-295CWE-295

Nasıl düzeltilir

Güncelleyin

Eclipse Foundation Eclipse ioFog3.9.2 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
Eclipse Foundation Eclipse ioFog	3.8.0 ≤ v < 3.9.2	3.9.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.